Bảo mật

Tổng quan

Neotask được thiết kế với kiến trúc bảo mật ưu tiên. Gateway mặc định ràng buộc với localhost, tất cả dữ liệu nhạy cảm được mã hóa khi lưu trữ và thực thi tác nhân có thể được đặt trong hộp cát trong các container cô lập.

Bảo mật mạng

Loopback theo mặc định

Gateway chỉ lắng nghe trên 127.0.0.1 (localhost) trừ khi bạn thay đổi chế độ ràng buộc một cách rõ ràng. Không có tiếp xúc mạng bên ngoài theo mặc định.

Xác thực

Tất cả các kết nối WebSocket yêu cầu xác thực:

Xác thực token, Token bearer (UUID hoặc chuỗi tùy chỉnh)
Xác thực mật khẩu, Mật khẩu được băm Bcrypt
Proxy tin cậy, Tiêu đề đã được xác thực trước từ các proxy ngược
Tin cậy cục bộ, Kết nối loopback được ngầm định tin cậy

Bảo mật truy cập từ xa

Đối với truy cập từ xa, cách tiếp cận được khuyến nghị là Tailscale VPN hoặc SSH tunneling, không bao giờ tiếp xúc Gateway trực tiếp với internet.

Ghép nối thiết bị

Cách ghép nối hoạt động

Mọi máy khách kết nối với Gateway đều phải được ghép nối:

Thiết bị trình bày danh tính của nó (dấu vân tay + khóa công khai)
Gateway phát hành thách thức ghép nối (nonce)
Thiết bị ký nonce bằng khóa riêng của nó
Bạn phê duyệt thiết bị qua giao diện người dùng
Gateway phát hành token thiết bị cho các kết nối trong tương lai

Mô hình tin cậy

Thiết bị cục bộ (loopback) được tự động phê duyệt để thuận tiện
Thiết bị không cục bộ yêu cầu phê duyệt rõ ràng
Token thiết bị được lưu trữ cục bộ và tái sử dụng khi kết nối lại
Thiết bị có thể bị thu hồi bất cứ lúc nào

Mã hóa

Dữ liệu khi lưu trữ

AES-256-GCM, Tất cả token, bí mật và API key được mã hóa khi lưu trữ
Khóa dẫn xuất từ máy, Khóa mã hóa được dẫn xuất qua scrypt từ danh tính thiết bị
Không lưu trữ văn bản thuần, Token không bao giờ được lưu trữ dưới dạng văn bản thuần

Dữ liệu trong quá trình truyền

TLS, HTTPS để giao tiếp API
WSS, WebSocket Secure cho các kết nối Gateway (khi sử dụng Tailscale Serve hoặc proxy ngược)
Ký HMAC, Toàn vẹn yêu cầu với nonce và dấu thời gian

Hộp cát

Cô lập dựa trên Docker

Thực thi lệnh tác nhân có thể được đặt trong hộp cát trong các container Docker:

Hồ sơ theo từng tác nhân, Mỗi tác nhân có thể có cấu hình hộp cát riêng
Giới hạn tài nguyên, Giới hạn CPU, bộ nhớ và thời gian chờ có thể cấu hình
Cô lập mạng, Các container có thể được cô lập mạng
Giới hạn hệ thống tệp, Các tác nhân chỉ truy cập không gian làm việc của họ
Hình ảnh tùy chỉnh, Sử dụng các hình ảnh được xây dựng sẵn với các công cụ cụ thể được cài đặt

Phạm vi hộp cát

Phạm vi	Mô tả
Theo phiên	Container mới cho mỗi phiên
Theo tác nhân	Container liên tục theo từng tác nhân
Chia sẻ	Container chia sẻ trên các tác nhân

Truy cập không gian làm việc

Các tác nhân trong hộp cát có thể truy cập thư mục không gian làm việc của họ (được gắn kết vào container) nhưng không thể truy cập hệ thống tệp máy chủ bên ngoài không gian làm việc của họ.

Phê duyệt thực thi

Kiểm soát các lệnh mà tác nhân có thể thực thi trên các node và máy chủ Gateway:

Chế độ

Chế độ	Mô tả
Danh sách cho phép	Chỉ các lệnh được phê duyệt trước mới thực thi
Hỏi	Các lệnh không xác định nhắc phê duyệt người dùng
Đầy đủ	Không có hạn chế (sử dụng cẩn thận)

Cấu hình theo từng node

Mỗi node (macOS, máy chủ không đầu) có cấu hình phê duyệt exec riêng, được lưu trữ cục bộ. Bạn có thể cho phép các tệp nhị phân cụ thể (ví dụ: /usr/bin/docker, /usr/local/bin/terraform) trong khi chặn mọi thứ khác.

Chế độ nâng cao

Một số hoạt động yêu cầu chạy trực tiếp trên máy chủ Gateway (không phải trong hộp cát). Chế độ nâng cao là:

Được kiểm soát bởi quyền rõ ràng trong cấu hình tác nhân
Chỉ có sẵn trên máy chủ Gateway
Bị tắt theo mặc định
Có thể kiểm tra qua ghi nhật ký

Kiểm tra bảo mật

Kiểm tra bảo mật tích hợp kiểm tra:

Quyền tệp cấu hình (nên là 600)
Quyền tệp phiên
Phiên bản Node.js (bản vá bảo mật)
Phát hiện bí mật văn bản thuần
Xác thực danh sách cho phép plugin
Kiểm tra giao diện mạng mở
Tính đầy đủ của cấu hình xác thực

Kiểm tra có thể tự động khắc phục nhiều vấn đề khi được cấp phép.

Thực hành tốt nhất

Giữ Gateway trên loopback, Sử dụng Tailscale hoặc SSH để truy cập từ xa
Bật hộp cát, Chạy lệnh tác nhân trong các container Docker
Sử dụng danh sách cho phép exec, Giới hạn lệnh mà tác nhân có thể chạy trên các node
Đặt token xác thực, Luôn cấu hình xác thực token, ngay cả cho loopback
Xem xét quyền tác nhân, Sử dụng hồ sơ công cụ tối thiểu khi có thể
Cập nhật Neotask, Các cập nhật bao gồm các bản vá bảo mật
Kiểm tra thường xuyên, Chạy kiểm tra bảo mật để phát hiện cấu hình sai
Hạn chế tải plugin, Chỉ cài đặt các plugin đáng tin cậy